Shadow AI

シャドーAIとは、組織内でIT、セキュリティ、コンプライアンスの各チームに知られず、または承認を得ずに、人工知能ツール、モデル、サービスを利用することです。よくある例として、従業員が業務情報を個人アカウントの生成AIアシスタントに貼り付けること、開発者が未審査のモデルAPIを呼び出すこと、チームが既存ソフトウェアのAI機能を有効化することなどがあります。シャドーAIは、未承認のアプリやクラウドサービスという従来からの問題であるシャドーITの一種で、ツールが無料または低価格で、数分で使い始められ、作業効率を高めるという同じ理由で広がります。

シャドーAIとシャドーITの違い#

AIサービスは、受け取ったデータを保存するだけでなく処理もします。大規模言語モデル (LLM)に送信するプロンプトはすべて組織外に出ます。また、一般向けプランでは、ユーザーがオプトアウトしない限り、会話が保存されたり学習データとして使用されたりする場合があります。2023年、Samsungのエンジニアが機密性の高いソースコードや会議メモをChatGPTに貼り付けたことを受け、同社は自社デバイスでの生成AIツールの利用を制限しました。

リスクは逆方向にも生じます。未審査のアシスタントの出力には、ハルシネーション、安全でないコード、ライセンスが不明確なテキストが含まれることがあり、誰も確認しないまま製品や意思決定に入り込む可能性があります。Hugging Faceなどの公開ハブからダウンロードしたモデル重みは、Pythonのpickle形式を使っていると、読み込み時に任意のコードを実行することがあります。そのため、safetensors形式はテンソルのみを保存します。従業員の個人トークンを使ってメール、カレンダー、コードリポジトリに接続したAIエージェントは、社内システム上で操作を実行できます。また、悪意のあるWebページやドキュメントがプロンプトインジェクションによってエージェントを誘導することがあります。

データ侵害に関する統計にもコストが表れています。IBMの「2026年データ侵害のコスト」レポートによると、調査対象となった侵害発生組織の43%でシャドーAIが関与するインシデントが発生していました。前年の20%から増加しており、こうした侵害の平均コストは539万ドルで、全体平均の499万ドルを上回りました。

シャドーAIの一般的な形態#

• チャットボットと文章作成アシスタント： 個人アカウントを使って、契約書の要約、独自コードのデバッグ、顧客記録を含む返信の下書きを行います。
• 組み込みAI機能： ベンダーが承認済みツールに文字起こし、要約、会議メモの機能を追加し、新たなサブプロセッサーにデータを送信し始めますが、その機能は改めて審査されていません。
• 未審査のモデルとAPI： 開発者が画像を外部のビジョンAPIに送信したり、ライセンス、来歴、セキュリティが誰にも確認されていないダウンロード済みの重みをデプロイしたりします。
• ブラウザー拡張機能とエージェント： 従業員が開くすべてのページを読み取ったり、連携済みアカウント上で従業員に代わって操作したりするツールです。

シャドーAIの検出と削減#

検出には複数のシグナルを組み合わせます。AIエンドポイントへの通信を示すネットワークログやDNSログ、アップロードを検査するクラウドアクセスセキュリティブローカーやデータ損失防止ツール、ブラウザー拡張機能の一覧、AIサブスクリプションやAPIキーに関する経費報告、そしてチームが使用中のツールを申告するアンケートや申告免除プログラムなどです。検出された各ツールは、以下に示す同じトリアージを経て、AIガバナンスの基盤となるインベントリに登録されます。

シャドーAIを減らすプログラムでは、どのデータをどのツールに入力してよいかを明確に定めるルールと、使いやすさで劣らない認可済みの選択肢を組み合わせます。たとえば、顧客データを使った学習を無効にしたエンタープライズアカウント、すべてのモデル通信を記録・フィルタリングするAIゲートウェイ、最も機密性の高い業務向けのセルフホスト型モデルなどです。AIリテラシー研修では、ルールが設けられている理由と、承認済みツールについて説明します。

コンピュータービジョンの業務では、人物、製品、施設の画像がオンラインのラベリングツールや学習ツールの個人アカウントに保存される場合、同様の問題が生じます。Ultralytics Platformのチームワークスペースでは、メンバーが作成したデータセット、モデル、デプロイメントはチームに属し、すべてのメンバーが閲覧できます。また、Owner、Admin、Editor、Viewerのロールによって変更できるユーザーが決まります。

シャドーAIは可視性の問題であり、データプライバシーやデータセキュリティのインシデントにつながります。セキュリティチームは、存在を知らないツールを評価、保護、監視できないためです。NIST AIリスク管理フレームワークはGOVERN 1.6のサブカテゴリーでこの問題を取り上げ、組織のリスク優先度に応じたリソースを割り当てて、AIシステムをインベントリ化する仕組みを求めています。